Tests ADN : faut-il supprimer ses données génétiques en ligne après la faillite de l'entreprise américaine 23andMe ?

Le flou règne sur l'avenir de données médicales de millions de personnes. La société américaine 23andMe, géant du secteur des tests ADN en kit, a annoncé lundi 24 mars déposer le bilan et chercher un repreneur après des mois de difficultés financières. Cette entreprise permet à n'importe qui de connaître ses origines ethniques ou son ascendance via l'envoi d'un test salivaire par courrier. Ces tests à "usage récréatif" sont interdits par la loi en France depuis janvier 2023, même s'ils ont été largement plébiscités.

Le possible rachat de la société suscite de vives inquiétudes sur ce qu'il pourrait advenir de ce gigantesque vivier de données médicales : plus de 15 millions de personnes ont utilisé ses services. Dans un communiqué, l'entreprise s'est voulue rassurante et "s'engage à continuer de protéger les données des clients et à être transparente sur la gestion des données des utilisateurs à l'avenir, la confidentialité des données sera une préoccupation majeure" dans toute opération de reprise éventuelle.

Mais les alertes se sont multipliées aux Etats-Unis sur le risque de voir ces données génétiques compromises ou revendues à un tiers sans aucune garantie sur le consentement des utilisateurs. Le procureur général de Californie a appelé les clients de 23andMe à purement et simplement supprimer leurs données génétiques sur le site et indique la marche à suivre. Le New York Times a fait de même.

La société 23andMe n'est pas particulièrement réputée pour assurer une protection optimale des données personnelles de ses utilisateurs. En 2023, des pirates avaient dérobé les profils génétiques d'environ sept millions de clients, avant de mettre en vente des informations telles que le nom, le sexe, l'année de naissance, la localisation, les photos, des informations sur la santé ainsi que les résultats de l'analyse ADN.

Des proches d'utilisateurs peuvent aussi être concernés

En France, de nombreuses personnes ont transmis leur ADN à l'entreprise américaine. La Cnil (Commission nationale de l'informatique et des libertés) recommande aussi d'effacer ses données. "Quand on lit les conditions générales de vente, c'est déjà inquiétant, ils peuvent faire absolument ce qu'ils veulent", estime Hélène Guimiot, cheffe du service de la santé à la Cnil, jointe par franceinfo. "Les personnes partent du principe qu'elles vont recevoir des informations sur elles, leurs origines, et que c'est le cœur du service. Mais concrètement, l'objectif de ces sociétés est de récupérer des données génétiques pour en faire tout un tas de choses plus ou moins vertueuses."

Les données récoltées, déjà en partie partagées avec des laboratoires pharmaceutiques, pourraient atterrir dans les mains de compagnies d'assurance ou se retrouver dans la nature. Avec le risque de devenir une monnaie d'échange pour des personnes mal intentionnées, et de s'en servir par exemple "vis-à-vis de l'employeur ou de la compagnie d'assurance avec laquelle on a assuré un emprunt immobilier en signant un questionnaire médical", avertit Hélène Guimiot.

La Cnil met enfin en garde contre le sentiment de faire un "acte individuel" en transmettant son propre ADN. "Son patrimoine génétique, on le partage avec sa famille, ses frères et sœurs, ses enfants, poursuit-elle. Dans ces bases de données et d'échantillons, il y a aussi des informations qui ne concernent pas juste les utilisateurs eux-mêmes, ceux qui ont fait le test, mais tous leurs proches avec lesquels ils partagent une partie de leur code génétique."